- MikroTrick uzbrukums apvieno kritiskas SSH ievainojamības, lai apietu autentifikāciju un piešķirtu privilēģijas root līmenim.
- Aktīva izmantošana ietekmē RouterOS ierīces, kas ir pakļautas internetam, nodrošinot pilnīgu kontroli bez parolēm.
- Pilnīgai labošanai ir nepieciešams atjaunināt sistēmu, slēgt publiskās pārvaldības portus un veikt rūpīgu pastāvīguma auditu.
Ja jums mājās vai uzņēmumā ir MikroTik maršrutētājs, jūs varētu interesēt informācija, ka ir izdots nopietns sarkanais brīdinājums. Pētnieki ir atklājuši ievainojamību ar nosaukumu MikroTrick , kas būtībā ir drošības trūkumu kombinācija, kas ļauj ļaunprātīgiem lietotājiem piekļūt jūsu ierīcei bez atļaujas vai paroles. Vissliktākais ir tas, ka, ja jūsu SSH pakalpojums ir atvērts, uzbrucējs var pilnībā kontrolēt ierīci, pārvēršot jūsu vārteju par centrālo centru, kas izspiego visu, kas ienāk un iziet no jūsu tīkla.
Šī problēma nav tikai teorētisks vingrinājums; tā tiek izmantota reālās situācijās . Risks ir kritisks, jo tas, kurš kontrolē maršrutētāju, kontrolē datplūsmu, var mainīt DNS maršrutus, lai novirzītu jūs uz viltotām vietnēm, vai izveidot aizmugurējās durvis, lai iefiltrētos jūsu datoros un iekšējos serveros. Vienkārši neizmantot garu, sarežģītu paroli, jo trūkums slēpjas pašā autentifikācijas sistēmā. Tas nozīmē, ka slēdzene ir uzlauzta , un hakeris var iegūt piekļuvi, vienkārši manipulējot ar savienojumu.
MikroTrick uzbrukuma anatomija
Lai saprastu, kā tas darbojas, ir svarīgi zināt, ka MikroTrick nav viena kļūda, bet gan ievainojamību ķēde. Pirmais puzles gabaliņš ir CVE-2026-67279 . Parasti, izveidojot savienojumu, izmantojot SSH, notiek stingrs autentifikācijas process, taču šī kļūda rodas atslēgas atkārtotas ievadīšanas laikā. Uzbrucējs var piespiest šo procesu, lai maršrutētājs apietu identitātes pārbaudi un ļautu tam pāriet uz komandrindas fāzi, neievadot paroli.
Taču piekļuves iegūšana ir tikai sākums; īstais trieciens ir CVE-2026-86060 . Šeit iebrucējs palielina privilēģijas. RouterOS pieteikšanās sistēma pareizi nefiltrē lietotājvārdus. Ja hakeris nosūta virkni, kas sākas ar defisi, konkrētāk, vērtību -2 , ierīce tiek apjukusi un nolasa atļaujas no uzbrucēja kontrolēta iekšējā kanāla. Tādējādi sistēma no zila gaisa piešķir viņiem pilnīgas administratora tiesības , ļaujot viņiem darīt visu, ko viņi vēlas ar ierīci.
Citi atklāti drošības caurumi
Lai gan galvenā uzmanība ir pievērsta MikroTrick, pastāv arī citas ievainojamības, kas rada patiesu satraukumu. Piemēram, CVE-2026-67276 ietekmē RSA atslēgas; uzbrucējs, kurš zina autorizētas atslēgas moduli, varētu viltot parakstu, izmantojot eksponentu, kas vienāds ar vienu, lai apmānītu sistēmu un pieteiktos kā likumīgs lietotājs.
No otras puses, pastāv WebFig ievainojamība (CVE-2026-67281) , kur JavaScript starpniekservera kļūda ļauj personai, kura pat nav autentificējusies, lasīt sensitīvus sistēmas failus , tostarp konfigurācijas, kas varētu saturēt slepenas atslēgas. Ievainojamība tika atklāta arī joslas platuma pārbaudes rīkā (CVE-2026-67277) , kas var izraisīt maršrutētāja pārstartēšanu vai kodola atmiņas noplūdi, un X.509 sertifikātu validācijas kļūda (CVE-2026-67278), kas ļauj attālināti personificēt serveri, ja maršrutētājs iniciē TLS savienojumus nedrošos tīklos.
Kā noteikt, vai esat apkrāpts
Ja jums ir aizdomas, ka jūsu maršrutētājs ir apdraudēts, nepārstartējiet to nejauši, jo žurnāli tiek glabāti atmiņā, un jūs varat izdzēst pierādījumus. Pirmā lieta, kas jādara, ir pārbaudīt žurnālus, lai atrastu lietotāju -2 vai pieteikšanās mēģinājumus no aizdomīgām IP adresēm, piemēram, 82.192.72.4 vai 103.102.31.18 . Vēl viena skaidra pazīme ir lietotāja ar vārdu "ops" atrašana ar pilnām privilēģijām, ko jūs neesat izveidojis.
MikroTik ir ieviesis funkciju ar nosaukumu AtzīmētsJa pēc sistēmas atjaunināšanas palaižat komandu /system device-mode print un jūs redzat, ka valsts ir jāTas nozīmē, ka maršrutētājs ir atklājis aizdomīgu modifikāciju pēdas. Esiet uzmanīgi, ja tas parādās. Nē Tas arī nenozīmē, ka esat 100% tīrs, jo sistēma nosaka tikai zināmus modeļus, taču statuss “jā” ir gandrīz drošs apstiprinājums, ka Kāds ir snoopojis apkārt.
Ārkārtas situāciju plāns: Iekārtu ielāpošana un nostiprināšana
Tūlītējs risinājums ir atjaunināt RouterOS. Atkarībā no jūsu filiāles jums vajadzētu jaunināt uz versiju 6.49.21, 7.23.4, 7.23.5 vai 7.24.2 , atkarībā no piemērotības. Taču ņemiet vērā, ka programmatūras atjaunināšana ir kā jaunas slēdzenes uzlikšana durvīm, kas jau ir uzlauztas: hakeris, iespējams, ir atstājis atslēgas kopiju. Tāpēc ir svarīgi pārbaudīt konfigurāciju, meklējot neparastus skriptus, ieplānotus uzdevumus plānotājā vai VPN tuneļus, kurus jūs neatpazīstat.
Lai tas vairs neatkārtotos, zelta likums ir noņemt SSH no interneta . Ja tas nav nepieciešams, atspējojiet to. Ja tas ir svarīgi, ierobežojiet to ar noteiktu IP adresi vai pārvaldības tīklu. Tas pats attiecas uz WebFig; atspējojiet HTTP un atstājiet HTTPS tikai administratoriem. Meistarīgs risinājums ir iestatīt VPN ar WireGuard un pārvaldīt maršrutētāju tikai caur šo tuneli, atstājot visas pārvaldības portus slēgtus no ārpasaules.
Uzlaboti sacietēšanas pasākumi
Tiem, kas vēlas nodrošināt maksimālu drošību, iesakām ugunsmūrī izmantot adrešu sarakstus . Izveidojiet sarakstu ar nosaukumu MGMT-TRUSTED ar savām drošajām IP adresēm un konfigurējiet ugunsmūri tā, lai tas pieņemtu savienojumus tikai no šīs grupas pārvaldības portiem, bloķējot visu pārējo WAN saskarnē. Neaizmirstiet darīt to pašu ar IPv6 , jo tieši šajā jomā daudzi cilvēki pieļauj kļūdas un atstāj durvis vaļā, vienlaikus aizverot IPv4.
Ir arī ļoti ieteicams atspējot joslas platuma testēšanas serveri un ierobežot 2. slāņa piekļuvi, izslēdzot MAC-Telnet un MAC-WinBox saskarnēs, kas nav pārvaldības saskarnes. Visbeidzot, visprofesionālākā pieeja ir centralizēt žurnālus ārējā serverī (Syslog), lai pat tad, ja uzbrucējs izdzēš pēdas maršrutētājā, jums joprojām būtu ieraksts par to, kas notika jūsu uzraudzības serverī.
Lai tīkls būtu drošs, ir svarīgi apvienot tūlītējus programmaparatūras atjauninājumus ar krasu uzbrukuma virsmas samazināšanu, likvidējot visus pārvaldības pakalpojumus, kas ir pakļauti internetam, un uzraugot kompromitēšanas indikatorus, piemēram, operatora lietotāju vai atzīmēto statusu. Patiesa drošība nebalstās uz vienu ielāpu, bet gan uz padziļinātu aizsardzības stratēģiju , kas ietver VPN segmentāciju, pastāvīgas konfigurācijas auditus un stingru ugunsmūru izmantošanu gan IPv4, gan IPv6.